Le VPN con server in Lettonia

L'articolo 101 elenca, per l'accesso a Internet, l'identificativo dell'utente finale, l'indirizzo IP esterno o il numero di porta assegnato a una connessione, l'utente al quale è stato assegnato e gli orari di inizio e fine della connessione, se l'operatore li tratta. Un fornitore non deve adottare misure aggiuntive per ottenere dati che le sue apparecchiature non generano (art. 99, paragrafo 3). Non è accertato se un operatore VPN sia un tale fornitore.

Il 9 giugno 2022 il Presidente ha rinviato il disegno di legge alla Saeima, sostenendo che gli articoli 99–101 erano in contrasto con il diritto dell'UE e con l'articolo 96 della Costituzione. La Saeima lo ha adottato il 14 luglio 2022 e ha chiesto al Consiglio dei ministri di presentare entro la fine di quell'anno un disegno di legge per allineare tali norme. Nel frattempo, i dati sono trasmessi agli organi indicati nei paragrafi 1 e 2 dell'articolo 99 in base alle leggi procedurali, ove necessario e giustificato (disposizione transitoria 18).

Ai sensi dell'articolo 112 della Legge sulle comunicazioni elettroniche, il Consiglio nazionale dei mezzi di comunicazione di massa elettronici, valutate le informazioni provenienti dalle istituzioni statali, può decidere di limitare l'accesso ai siti web disponibili in Lettonia che distribuiscono contenuti che mettono o possono mettere in pericolo la sicurezza dello Stato oppure l'ordine e la sicurezza pubblici, nonché di negare l'accesso al nome di dominio o all'indirizzo IP del sito.

Può inoltre ordinare a un sito di cessare la promozione o la vendita di apparecchiature o diritti di accesso a programmi non inclusi nell'elenco dei programmi ritrasmessi in Lettonia, concedendo tre giorni, e può limitare l'accesso al sito se l'ordine viene ignorato.

La legge penale punisce gli atti diretti a provocare odio o inimicizia nazionale, etnica, razziale o religiosa con una pena detentiva fino a tre anni, oppure con sorveglianza probatoria, lavori socialmente utili o una multa (sez. 78, paragrafo 1). La diffusione pubblica intenzionale, per iscritto o oralmente, di invenzioni note per essere false e diffamatorie è punita con sorveglianza probatoria, lavori socialmente utili o una multa, con una pena più grave per la diffamazione nei mezzi di comunicazione di massa (sez. 157).

I dati conservati che identificano l'utente finale dietro un indirizzo IP sono trasmessi agli organi elencati nel paragrafo 1 dell'articolo 99 e alla Polizia di Stato nei casi amministrativi di violenza fisica o emotiva contro un minore nell'ambiente elettronico (art. 99, paragrafo 2).

Solo il responsabile di un'istituzione o un funzionario da questi autorizzato può richiedere i dati conservati; la richiesta indica la propria base giuridica, l'ambito e il termine per la risposta; inoltre, il fornitore deve registrare ogni richiesta e risposta, indicando il dipendente che l'ha preparata (Regolamento del Consiglio dei ministri n. 583 del 20 settembre 2022, punti 2, 4 e 5). Una richiesta del Consiglio per la concorrenza o del Centro per la tutela dei diritti dei consumatori deve allegare la decisione di un giudice (punto 6).

Le risposte devono essere fornite entro trenta giorni per i dati conservati da oltre sei mesi e entro dieci giorni negli altri casi, oppure entro tre ore o un'ora nei casi urgenti (punto 11). L'ordine delle righe corrisponde al punteggio di sicurezza e la posizione di un server non è una raccomandazione.